使用Firebase认证的React前端如何安全访问自定义PHP API？

你的核心思路完全正确，不需要自行生成绑定Firebase用户的JWT，Firebase Auth在用户登录成功后会自动签发标准JWT格式的ID Token，直接用这个令牌做身份校验即可，是当前场景下的最优选择。

• 前端（React）侧处理
  用户登录Firebase成功后，调用Firebase Auth SDK的getIdToken()方法获取当前用户的有效ID Token，该方法会自动处理令牌刷新，永远返回未过期的有效令牌。后续所有请求PHP接口时，在请求头中加入Authorization: Bearer <你的ID Token>即可。
• PHP API侧处理
  直接引入Firebase官方提供的PHP Admin SDK，调用内置的令牌校验方法，即可完成签名有效性、过期时间、签发主体、受众等字段的自动校验。校验通过后可以直接拿到对应用户的Firebase UID、邮箱等公开身份信息，你可以基于这些信息做后续的业务权限判断。

• 不要将ID Token长期存储在前端的localStorage、sessionStorage中，每次发请求前实时调用getIdToken()获取即可，降低令牌泄露风险。
• PHP侧校验时额外核对令牌的受众（aud）字段是否为你自己的Firebase项目ID，避免其他Firebase项目的令牌被恶意用来调用你的接口。
• 配置PHP接口的CORS规则，仅允许你自己的前端域名发起跨域请求，减少恶意请求来源。
• 如果需要做更细粒度的接口权限控制，可以在本地数据库中为Firebase UID绑定对应的角色、权限标识，令牌校验通过后再匹配对应权限即可。

如果不想在PHP侧引入Firebase SDK，也可以自行实现JWT校验逻辑：将Firebase的公钥缓存到PHP服务端，自行校验JWT的签名和字段合法性，但这种方案需要自己处理公钥更新逻辑，容易出问题，不如直接用官方SDK稳妥。

内容的提问来源于stack exchange，提问作者visibleAce